Malnova SSL VPN en IOS: pakaĵo, profilo, pordego kaj seanco
Instalilo en flash estas nur unu el kvar partoj. Kontrolu laŭ ordo la pakaĵon, la klientan profilon, la TLS-aŭskultanton kaj la kuntekstan politikon, haltante ĉe la unua fiasko.
Vi trovas klientan instalilon en la flash de la enkursigilo kaj konkludas, ke la SSL VPN estas agordita. Tio estas unu el kvar komponantoj, kaj la ceteraj tri decidas, ĉu iu ajn povas konektiĝi. Ĉe la malnova IOS SSL VPN la pecoj estas apartaj objektoj: la ĉefkapa klienta pakaĵo, laŭvola klienta profilo, la WebVPN-pordego, kiu finas TLS, kaj la kunteksto kun la grupa politiko, kiuj tenas la agordojn pri aŭtentigo kaj seanco. Manku unu, kaj la fiasko aspektas same de ekstere.
La agorda ekzemplo de Cisco IOS SSL VPN, konstruita sur IOS 15.3 kun AnyConnect 3.1, utilas ĝuste ĉar ĝi tenas tiujn objektojn aparte. Legu ĝin kiel priskribon de tiu pli malnova efektivigo, ne kiel rekomendon uzi tiujn versiojn.
Unue la pakaĵo: kio ĝi estas kaj kio ĝi ne estas
La ĉefkapa pakaĵo liveras klientan programaron por unu platformo. Ĝi estas nek la profilo nek la aŭskultanto, kaj dosiero sidanta en la flash pruvas nur, ke iu alŝutis ion. Ĝi ne pruvas, ke seanco iam uzis ĝin, ke la platformo kongruas kun la aparato de la uzanto, aŭ ke la pordego entute referencas ĝin.
Konfirmu la ĝustan dosiernomon, la platformon kiun ĝi celas kaj kie la agordo montras al ĝi. Vindozo-pakaĵo diras al vi nenion pri telefonoj, kaj alŝutita dosiero, kiun neniu pordega objekto mencias, estas konservado prefere ol agordo. Pakaĵo, kiu kongruas kun la platformo sed neniam ligiĝas al la servo, ne estos proponita al iu uzanto. Nek unu, kies dosiernomo diferencas de la valoro, kiun la agordo atendas.
Due la profilo: agordoj prefere ol programaro
Laŭvola klienta profilo portas agordojn, kiujn administranto preparas aparte, ekzemple servilajn listojn aŭ klientajn preferojn. Konfuzi ĝin kun instalilo oftas, ĉar ambaŭ alvenas kiel dosieroj kun similaj nomoj. Se la starigo atendas profilon, ĝia manko ŝanĝas tion, kion la kliento faras post konekto, prefere ol ĉu ĝi entute konektiĝas.
Inventaru ambaŭ artefaktojn kaj notu, al kiu la pordego vere referencas. Tiu unu linio malebligas tutan klason de subtenaj biletoj, kie du homoj diskutas pri diversaj dosieroj.
Trie la aŭskultanto kaj la TLS-identeco
La pordega objekto difinas la adreson kaj pordon, kiujn atingas la ekstera mondo, kaj la atestilon prezentatan dum la manpremo. Retumilo atinganta portalpaĝon, kliento finplenumanta aŭtentigon kaj aplikaĵo atinganta privatan servilon estas tri apartaj observoj, kaj nur la unua estas testado de la aŭskultanto. Kiam la manpremo fiaskas, nenio pli malsupre ankoraŭ gravas, do kontrolu la atestilan ĉenon kaj la nomon antaŭ ol redakti iun ajn politikon.
Skribu la atendatan identecon ie. Renovigita aŭ anstataŭigita atestilo estas la plej ofta kialo, kial starigo, kiu funkciis pasintmonate, ĉesas funkcii ĉi-monate.
Kvare la kunteksto kaj la politiko kun sia virtuala ŝablono
La kunteksto kaj la grupa politiko ligas aŭtentigon al la konduto de la seanco: adresaro, dividitaj itineroj, DNS kaj kiujn internajn retojn uzanto rajtas atingi. La dokumentita ekzemplo ligas sian kuntekston al virtuala ŝablono, kiu liveras interfacan konduton por ĉiu seanco, kaj tiuj servilflankaj objektoj ekzistas sendepende de io ajn, kion uzanto elŝutas.
Kiam uzanto aŭtentiĝas sed atingas nenion, la kulpo kutime kuŝas ĉi tie prefere ol en la kliento. Komparu la adresaron, la itinerojn transdonitajn al la kliento kaj la ACL-on, kiu permesas pluan trafikon, kaj kontrolu ilin kontraŭ tio, kion la uzanto raportas, prefere ol kontraŭ tio, kion intencis la dezajno.
Kontrolu laŭ ordo kaj haltu ĉe la unua fiasko
Trairu la kvar komponantojn en la ordo, en kiu konekto renkontas ilin: aŭskultanto, aŭtentigo, politiko kaj poste klienta konduto. Konfirmu TLS per la atendata identeco, aŭtentigu konton konatan kiel funkcianta, legu la asignitan adreson kaj itinerojn el la seanco, kaj nur poste komparu la platformon de la kliento kun la pakaĵo. Halti ĉe la unua fiasko tenas unu solan variablon en la ludo, kaj tio estas la diferenco inter riparo kaj konjekto.
Por telefono aŭ iu ajn kliento ekster tiu historia labortabla ekzemplo, akiru la reale subtenatan kontrakton inter kliento kaj pordego anstataŭ supozi, ke la Vindozo-laborfluo ĝeneraliĝas. Ŝanĝi petatan protokolon ne igos IKEv2-profilon ĉi tiu SSL VPN-servo, kaj instalado de labortabla pakaĵo pruvas nenion pri poŝtelefona subteno.